CVE-2026-19490: Authentifizierungs-Umgehung in Citrix Netscaler ADC und Gateway — Update jetzt einspielen

Netscaler-Admins kennen das Muster: Ein Advisory landet im Postfach, in der Zusammenfassung steht „kritisch“, und der erste Impuls ist, es als eines von vielen Routine-Updates einzuordnen. Bei CVE-2026-19490 wäre das ein Fehler — die Lücke erlaubt es, die Authentifizierung von Netscaler ADC und Netscaler Gateway über alternative Wege zu umgehen, und genau diese Geräte stehen bei den meisten Unternehmen direkt am Netzwerkrand.

Was Citrix korrigiert

Citrix hat am Mittwoch dieser Woche eine Sicherheitsmitteilung veröffentlicht und zwei Schwachstellen in Netscaler ADC und Netscaler Gateway geschlossen. Die schwerwiegendere, CVE-2026-19490, erreicht einen CVSS4-Wert von 9,3 und ist als „kritisch“ eingestuft. Sie erlaubt laut Citrix eine Umgehung der Authentifizierung über alternative Pfade — vorausgesetzt, das Gerät ist für Fernzugriffe konfiguriert und prüft Identitäten, in neueren Netscaler-Versionen, per SAML. Diese Konfiguration ist bei Gateway-Einsatz keine Ausnahme, sondern in vielen Umgebungen genau der Zweck des Geräts: Netscaler Gateway ist der Einstiegspunkt, über den Mitarbeitende von außen auf interne Anwendungen zugreifen.

Die zweite Lücke, CVE-2026-19489 (CVSS4 8,8, Risiko „hoch“), ist ein Speicherüberlauf, der auftritt, wenn SIP ALG in einer Large-Scale-NAT-Gruppenkonfiguration aktiviert ist. Er kann zu unvorhergesehenem Verhalten oder einem Denial-of-Service führen. Zwei unterschiedliche Angriffskategorien in einem Advisory — Zugriffsumgehung auf der einen, ein Speicherfehler mit DoS-Potenzial auf der anderen Seite — sind der Grund, warum dieses Update nicht auf die lange Bank gehört.

Gepatcht sind Netscaler ADC und Netscaler Gateway ab Version 14.1-73.32 beziehungsweise 13.1-63.21. Für die FIPS-Varianten stehen ebenfalls korrigierte Fassungen bereit: 14.1-73.32 FIPS sowie 13.1-37.277 für NetScaler ADC FIPS und NDcPP. Von Citrix selbst betriebene Cloud-Instanzen sind laut Hersteller bereits auf dem korrigierten Stand — wer seine Netscaler-Umgebung selbst verwaltet, muss die Updates dagegen selbst einspielen.

Was offenbleibt

Citrix beschreibt die Authentifizierungs-Umgehung ausschließlich über die Common-Weakness-Enumeration-Kategorie, ohne die konkreten alternativen Pfade zu benennen. Das ist bei kritischen Lücken üblich — Details würden Angreifern eine Anleitung liefern —, macht die Einschätzung des tatsächlichen Risikos für die eigene Umgebung aber schwieriger. Auch bei der zweiten Lücke bleibt offen, ob der Speicherüberlauf sich auf einen reinen Absturz beschränkt oder ob sich daraus eingeschleuster Code ausführen ließe; Citrix äußert sich dazu nicht.

Was Sie jetzt prüfen sollten

Zwei Fragen entscheiden, wie dringend das Update für Sie ist. Erstens: Ist Ihr Netscaler Gateway für Fernzugriffe eingerichtet und prüft Identitäten per SAML? Falls ja, betrifft Sie CVE-2026-19490 direkt, und wir würden hier nicht auf das nächste Wartungsfenster warten. Zweitens: Läuft SIP ALG in einer Large-Scale-NAT-Konfiguration? Falls ja, gilt dasselbe für CVE-2026-19489. Prüfen Sie in beiden Fällen den aktuellen Versionsstand Ihrer Installation und ziehen Sie die Updates auf 14.1-73.32 beziehungsweise 13.1-63.21 vor. In der Betreuung von Kundenumgebungen sehen wir immer wieder, dass gerade Remote-Access-Gateways zögerlich gepatcht werden, weil sie im Produktivbetrieb schwer kurzfristig aus dem Verkehr zu ziehen sind — bei einer Authentifizierungs-Umgehung ist genau das aber der falsche Grund zu warten. Erst Anfang Juli wurden bereits gravierende Schwachstellen in denselben Produkten bekannt, über die sich verwundbare Instanzen lahmlegen ließen. Netscaler-Umgebungen bleiben damit ein wiederkehrendes Ziel, und ein Update-Rhythmus, der sich am nächsten Patchday statt am Advisory orientiert, wird diesem Muster nicht gerecht.

Quellen: heise online — „Citrix: Kritische Lücke erlaubt Umgehung der Authentifizierung“ (https://www.heise.de/news/Citrix-stopft-kritische-Anmeldungsumgehung-in-Netscaler-ADC-und-Gateway-11420304.html)